Notificar a autoridades y a afectados

Que un incidente sea grave para la empresa no dispara por sí solo ninguna obligación de avisar. Las normas de protección de datos se activan cuando el incidente compromete datos personales: acceso, pérdida, alteración o divulgación sin autorización de información de personas identificables. Un ransomware que cifra servidores sin datos de personas puede ser gravísimo para el negocio y no ser notificable bajo esas normas; una exportación de una lista de clientes puede parecer pequeña y serlo.

Hay otros regímenes —sectoriales, contractuales, de ciberseguridad de infraestructuras— con sus propios disparadores, que este módulo no cubre y que el área legal conoce. Tu parte es dejar claro, con evidencia, qué datos y de quiénes.

Para notificar hay que decir cuántos titulares están afectados, de qué países y qué datos de cada uno quedaron expuestos. Los plazos y las autoridades dependen del país del titular, por lo que la cifra se desglosa. La entrega al área legal es esa tabla: país, número de personas y categorías de datos.

La cifra total sale de sumar, pero la que se notifica a cada autoridad es la de su país. Revisa la tabla de afectados de Cima Verde.

El reglamento general de protección de datos de la Unión Europea (art. 33) exige notificar a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener conocimiento de la violación, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Las horas corren de corrido: no se detienen en sábado ni domingo.

El plazo cuenta desde el conocimiento, no desde la primera alerta. La alerta automática y la confirmación parcial de que algo salió no son lo mismo que saber que se expusieron datos personales. En este escenario, la tabla de hitos marca con «si» la fila que cuenta; en un caso real, cuándo hay conocimiento lo decide el área legal. Escribe fecha y hora en UTC con el formato del registro.

En Colombia, la Superintendencia de Industria y Comercio indica que los incidentes de seguridad que afecten datos personales se reportan dentro de los quince días hábiles siguientes a que se detecten y se pongan en conocimiento del área encargada de atenderlos. «Siguientes» quiere decir que el día del aviso no cuenta; «hábiles» obliga a mirar un calendario.

En el escenario el calendario es una convención: sábados y domingos no son hábiles y el 17 de mayo es un festivo inventado para el ejercicio. En un caso real, qué días son hábiles y cómo cuenta la autoridad lo confirma el área legal. Cuenta quince días hábiles posteriores al 12 de mayo, que es el día de la detección.

Aparte de la autoridad, hay un segundo aviso: a las propias personas. El mismo reglamento europeo (art. 34) lo exige, sin dilación indebida, cuando es probable que la violación entrañe un alto riesgo para sus derechos y libertades, y prevé excepciones: por ejemplo, que los datos estuvieran protegidos de forma que fueran ininteligibles para quien accedió, como con cifrado. El umbral para avisar a la autoridad es más bajo que el de avisar a las personas.

Tu aporte técnico a esa decisión es concreto: qué datos salieron, si estaban cifrados, a qué dirección fueron y si hay indicios de uso posterior. Con eso, el área legal decide. Redactar el aviso a las personas en lenguaje claro —qué pasó, qué datos, qué riesgo, qué pueden hacer— sigue las mismas reglas del resumen ejecutivo.